Blick hinter die Maske

von Dr. Christian Knermann

Wer Zero Trust konsequent im Netzwerk verankern will, kommt an Zscaler kaum vorbei. Zscaler Zero Trust Exchange deckt mit ZIA, ZPA, Zero Trust Branch und weiteren Diensten nahezu jeden Aspekt moderner Netzwerksicherheit ab – vom mobilen Endanwender über IoT-Geräte bis hin zu externen Partnern ohne verwaltetes Endgerät. Die Plattform überzeugt durch architektonische Konsequenz und Funktionstiefe – will allerdings auch sorgfältig geplant sein.

Herkömmliche VPN-Verbindungen, die Remotenutzer anhand von IP-Adressen und Ports in ein Netzsegment einbinden, bieten eine unnötig große Angriffsfläche und erleichtern laterale Bewegungen im Kompromittierungsfall erheblich. Der Paradigmenwechsel hin zu einer Zero Trust Architecture (ZTA) und Zero Trust Network Access (ZTNA) setzt genau hier an. Als ehernes Grundprinzip stuft ZTNA keinen Nutzer, keinen Client und generell keine Verbindung automatisch als vertrauenswürdig ein – unabhängig davon, von wo der Zugriff erfolgt. ZTNA zielt darauf ab, jede Verbindung individuell zu authentifizieren, zu autorisieren, auch im laufenden Betrieb kontinuierlich zu überprüfen und Nutzer ausschließlich mit den spezifischen Anwendungen zu verbinden, die sie tatsächlich benötigen.

Dieses Prinzip der minimalen Rechtevergabe reduziert die Angriffsfläche und macht laterale Bewegungen im Kompromittierungsfall nahezu unmöglich. Für Administratoren in kleinen und mittelständischen Unternehmen ebenso wie in großen Organisationen stellt sich damit die Frage, wie sie diese Prinzipien praktisch umsetzen – insbesondere sobald die Architektur auch Zweigstellen, Edge-Standorte und IoT-Geräte umfassen soll. Zscaler begegnet diesen Anforderungen mit seiner gleichnamigen Plattform, die einen umfassenden ZTNA-Ansatz verfolgt.

Weitestgehend cloudbasiert

Zscaler beschreibt die hauseigene Plattform als cloudbasierte Inline-Sicherheitsplattform und betreibt diese verteilt über mehr als 160 Rechenzentren weltweit. Mobile Anwender finden so in der Regel einen nahegelegenen Einstiegspunkt in den Zero Trust Exchange (ZTE) – die zentrale Plattform, auf der alle Produkte und Dienste des Herstellers aufbauen. Zscaler verfolgt dabei einen konsequent cloudnativen Ansatz, der den Betrieb physischer Appliances vor Ort weitgehend erübrigt. Der ZTE fungiert als Vermittlungsinstanz zwischen Nutzern, Geräten und Anwendungen, setzt dabei durchgängig auf ZTNA und unterbindet so jede direkte IP-zu-IP-Kommunikation. Sämtliche Verbindungen vermittelt und inspiziert der ZTE stattdessen anhand zentral konfigurierter Richtlinien.

Das umfangreiche Produktportfolio gliedert Zscaler in mehrere übergeordnete Bereiche. Im Segment der Cyberthreat Protection bilden Zscaler Internet Access (ZIA) und Zscaler Private Access (ZPA) das Fundament. ZIA übernimmt die Rolle eines cloudbasierten Secure-Web-Gateways und ersetzt klassische Proxyserver sowie Perimeter-Firewalls. Zscaler leitet den gesamten Internet- und SaaS-Traffic der Clients über den ZTE, der die Verbindungen vollständig inspiziert einschließlich TLS- und SSL-verschlüsseltem Datenverkehr – und gegen Bedrohungen wie Ransomware, Phishing, Malware und Zero-Day-Angriffe absichert.

ZIA umfasst darüber hinaus eine Cloudfirewall mit Intrusion-Prevention, eine Cloudsandbox zur Analyse unbekannter Dateien, URL-Filtering, DNS-Sicherheit sowie einen Zero-Trust-Browser als Alternative zur Installation des Client Connectors. Dieser sichere Browser läuft virtualisiert in der Cloud, rendert webbasierte Inhalte als Pixelstrom und schirmt den Nutzer so vollständig von den eigentlichen Webinhalten ab. Für BYOD-Szenarien entfällt damit der Betrieb einer herkömmlichen Virtual Desktop Infrastructure (VDI) für den Zugriff auf interne Webanwendungen.

Breite Unterstützung für Clients

Beim Zugang zu privaten Anwendungen kommt ZPA als moderne Alternative zum klassischen VPN ins Spiel. Statt Clients auf IP-Basis unmittelbar mit einem Netzwerk zu verbinden, ermöglicht ZPA autorisierten Nutzern isolierte Zugriffe auf spezifische Applikationen. Die Anwendungen bleiben dabei für das öffentliche Internet vollständig unsichtbar, da Zscaler keine eingehenden Ports benötigt, sondern Verbindungen grundsätzlich von innen nach außen aufbaut.

Der Zscaler Client Connector, ein schlanker Agent auf dem Endgerät des Nutzers, etabliert einen Tunnel zum nächsten Einstiegspunkt des ZTE, auch als Public Service Edge bezeichnet. Dabei handelt es sich um von Zscaler betriebene, global verteilte Infrastrukturknoten in den Rechenzentren des Zero Trust Exchange – im Gegensatz zum Private Service Edge, den Administratoren als vom Hersteller verwaltete Instanz innerhalb der eigenen Umgebung betreiben. Der Public Service Edge fungiert als Vermittlungsinstanz, authentifiziert den Nutzer über den konfigurierten Identity Provider (IdP) und prüft die geltenden Sicherheits- und Zugriffsrichtlinien.

Parallel dazu baut der App Connector – eine schlanke Komponente, die Administratoren in der Nähe der Anwendungen platzieren – ebenfalls einen ausgehenden Tunnel auf; dazu genügt TCP-Port 443. Erst nach erfolgreicher Authentifizierung und Richtlinienprüfung führt Zscaler die beiden Tunnel im ZTE zusammen und stellt eine isolierte Verbindung zwischen Nutzer und Anwendung her. Anders als beim herkömmlichen VPN-Tunnel handelt es sich dabei um einen Mikrotunnel, der exklusiv für die Verbindung zu genau dieser Anwendung existiert. Für jede weitere Applikation richtet Zscaler einen eigenen Mikrotunnel ein.

Eine der Stärken von Zscaler liegt im breiten Endpunkt-Support auf beiden Seiten. Der Client Connector unterstützt Windows, macOS, ChromeOS sowie diverse Linux-Distributionen, daneben die etablierten mobilen Betriebssysteme Android und iOS. Auch Thin Clients sowie VDI-Umgebungen on-premises wie in der Cloud bindet der Connector ein.

Für nicht verwaltete Geräte bietet der Zero-Trust-Browser einen clientlosen Zugang. Darüber greifen Nutzer an privaten Geräten, ebenso Auftragnehmer, Lieferanten und Partner, mit jedem modernen HTML5-fähigen Webbrowser auf interne Webanwendungen zu, ohne den Client Connector installieren zu müssen. Protokolle wie RDP, SSH und VNC reicht Zscaler auf diesem Weg ebenfalls durch. Administratoren können dabei granulare Richtlinien definieren, die etwa das Hoch- und Herunterladen von Dateien, die Nutzung der Zwischenablage und das Erstellen von Screenshots reglementieren.

Zusätzlich steht Credential Injection zur Verfügung: Zscaler fügt Anmeldedaten automatisch in Sitzungen ein, ohne dass externe Nutzer die tatsächlichen Zugangsdaten kennen müssen. Sitzungen lassen sich bei Bedarf aufzeichnen, auch zeitgesteuert – relevant sowohl für Complianceanforderungen als auch für die Nachverfolgung von Einsätzen externer Techniker. Für spontane Einsätze, etwa wenn ein Techniker kurzfristig Zugriff auf ein System benötigt, ermöglicht die Just-in-Time-Funktion eine schnelle Freischaltung.

App Connector integriert private Netze

Die Gegenstelle auf der Anwendungsseite bildet der App Connector. Zscaler bietet ihn als gehärtetes Image für VMware und Nutanix sowie in den Marktplätzen der großen Hyperscaler Amazon, Google und Microsoft an. Die Abbilder hat der Hersteller jeweils nach den Security Technical Implementation Guides der US-amerikanischen Defense Information Systems Agency vorkonfiguriert. Diese Leitfäden sind vor allem in behördlichen, militärischen und regulierten Umgebungen relevant, gelten darüber hinaus aber auch als bewährte Vorgehensweise zur Systemhärtung. Alternativ installieren Administratoren den App Connector als RPM-Paket auf einer RHEL-basierten Linux-Distribution oder schlicht als Container – im einfachsten Fall genügt eine Docker-Instanz. Management und Updates des Connectors übernimmt anschließend die Zscaler-Cloud.

Für Standorte, an denen eine lokale Richtliniendurchsetzung oder ein besonders kurzer Netzwerkpfad zu lokalen Anwendungen erforderlich ist, bietet ZPA die Option eines Private Service Edge. Dabei handelt es sich um eine vom Hersteller verwaltete Instanz der Zscaler-Cloud, die Administratoren als virtuelle Appliance innerhalb ihrer Umgebung betreiben – ob im physischen Rechenzentrum on-premises oder in einer Cloud. Private Service Edges stellen sicher, dass lokale Nutzer und Dienste den kürzesten Weg zu Anwendungen und Diensten nutzen, ohne das lokale Netzwerk verlassen zu müssen. Zusätzlich unterstützen sie eine automatisierte Business-Continuity-Funktion: Erkennt das System eine Unterbrechung der Verbindung zur Zscaler-Cloud, schaltet es selbsttätig in einen Notbetrieb, in dem es Richtlinien und Authentifizierungen weiterhin lokal sicherstellt.

Ein besonderer Anwendungsfall, den ZPA adressiert, sind Fusionen und Übernahmen. Bei Unternehmenszusammenschlüssen überlappen oder kollidieren die IP-Adressbereiche der beteiligten Organisationen häufig. Da ZPA nicht auf IP-Adressen, sondern auf Identitäten und Richtlinien basiert, greifen Nutzer beider Organisationen über den ZTE auf die jeweils benötigten Anwendungen zu – ohne aufwändige Netzwerkkonvergenz oder Neuadressierung.

Weitreichender Schutz

Neben diesen Säulen umfasst das Portfolio weitere spezialisierte Bereiche, deren detaillierte Betrachtung den Rahmen dieses Artikels bei Weitem sprengen würde. Im Segment "Data Security" deckt Zscaler Data Loss Prevention für Web- und E-Mail-Anwendungen ab, bietet einen Cloud Access Security Broker für erweiterte Sicherheit beim Zugriff auf SaaS-Dienste – auch für unternehmensfremde Clients – sowie speziellen Schutz beim Einsatz von Microsoft Copilot und vergleichbaren KI-Assistenten. Der Bereich AI Security adressiert die wachsenden Sicherheitsanforderungen beim Betrieb von KI-Anwendungen. Im Bereich Security Operations stehen Werkzeuge für Schwachstellenmanagement sowie Managed Detection and Response und Threat Hunting bereit.

Das Fundament des Bereichs Zero Trust Branch (ZTB) bildet eine Hardware- Appliance, die Zweigstellen, IoT- und OT-Geräte sowie Edge-Standorte nach Zero-Trust-Prinzipien anbindet. Zscaler hat vor etwa zwei Jahren das Unternehmen Airgap Networks übernommen und dessen Technologie als ZTB in die eigene Plattform integriert. Das Besondere an ZTB ist die tiefe Verankerung des Zero-Trust-Prinzips auf Netzwerkebene.

Per ZTB vernetzte Geräte erhalten IP-Adressen mit einer /32-Subnetzmaske. Jedes einzelne Gerät bildet damit ein eigenes, isoliertes Subnetz; sämtliche Kommunikation – auch zwischen Geräten im selben physischen Netzwerksegment – läuft zwingend über den ZTB als Gateway. Direktes IP-Routing zwischen Endgeräten findet nicht statt, was laterale Bewegungen von Schadsoftware innerhalb einer Zweigstelle wirksam unterbindet.

Als Erweiterung verhindert die Funktion des Ransomware-Kill-Switch im Kompromittierungsfall die Ausbreitung auf benachbarte Systeme. Bei einem Ransomware-Angriff erzwingt er zuvor definierte Richtlinien und erlaubt ausschließlich die wichtigsten Verbindungen. Für IoT- und OT-Geräte erlaubt diese Segmentierung eine individuelle Kontrolle jedes vernetzten Geräts – ohne manuelle VLAN-Konfigurationen oder komplexe Firewall-Regelwerke. In Verbindung mit dem Zero-Trust-Browser und Privileged Remote Access setzt Zscaler auch hier granulare Regeln für interne wie externe Benutzer durch.

Erwähnenswert ist an dieser Stelle auch Zscaler Cellular, eine SIM-Karten-basierte Anbindung von IoT-Geräten an die Zscaler-Cloud. Ein IoT-Gerät mit einer solchen SIM-Karte – oder ein mobiler Router, der sie nutzt – verbindet sich direkt mit der Zscaler-Cloud und unterliegt denselben Sicherheitsrichtlinien wie jeder andere Endpunkt. Besonders relevant ist dieses Konzept dort, wo Geräte an entfernten Standorten ohne vorhandene Netzwerkinfrastruktur angebunden werden müssen: Sensoren im Feld, Automaten oder mobile Einsatzfahrzeuge. Die SIM-Karte ermöglicht eine native Integration ganz ohne Client Connector.

Schließlich kümmert sich Zscaler Digital Experience (ZDX) um ein durchgängiges Monitoring, das Performance und Nutzer- erfahrung für Anwendungen und Netzpfade aus der Perspektive des Endgeräts misst und bewertet. ZDX unterstützt Administratoren bei der Fehlerlokalisierung, führt KI- und ML-gestützt bereits Root-Cause-Analysen durch und weist Endanwender proaktiv auf Probleme sowie mögliche Abhilfemaßnahmen hin.

Lizenzierung pro Benutzer skaliert über Add-ons

Zscaler lizenziert seine Produkte als Abon- nement pro Benutzer, wobei Unternehmen mehrere Einstiegsoptionen für ZPA zur Verfügung stehen. Die Essentials-Plattform umfasst sicheren Internetzugang sowie grundlegende Funktionen von ZPA und ZDX. Allerdings startet dieses Angebot erst ab mindestens 500 Benutzern und schließt ZPA-Funktionen nicht für die gesamte Nutzerbasis ein, sondern lediglich für fünf Prozent davon.

Darüber hinaus sind bei den Essentials jeweils zehn App-Connector-Instanzen und Anwendungssegmente sowie fünf Private Service Edges enthalten. Die größere Zscaler-Plattform bringt dagegen je 20 App-Connector-Instanzen und Anwendungssegmente sowie eine unbegrenzte Anzahl an Private Service Edges mit. Die Essentials-Plattform eignet sich damit typischerweise als begrenzter Einstieg oder Pilot beziehungsweise für ausgewählte Benutzer und Rollen; erst die größere Zscaler-Plattform-Lizenz schafft die Voraussetzung, ZPA flächendeckend als VPN-Ersatz für den Zugriff auf private Anwendungen auszurollen.

Ergänzend skaliert Zscaler den Leistungsumfang über Add-ons, die fortgeschrittene ZPA-Funktionen abdecken: Darunter autonome Segmentierung, bei der KI-gestützt Anwendungssegmente und Zugriffsrichtlinien automatisch vorgeschlagen und angepasst werden, sowie Anwendungsschutz und Business Continuity. Der Hersteller betont, dass es keine Standardpakete von der Stange gibt und eine Implementierung stets mit einem begleiteten Architektur-Workshop beginnt, in dessen Verlauf ein auf den jeweiligen Kundenbedarf zugeschnittenes Konzept entsteht.

Identity Provider nahtlos integriert

Zscaler hatte uns einen befristeten Zugang zu einer Demo-Umgebung bereitgestellt, in der wir diverse Anwendungsfälle erproben und eigene Clients einbinden konnten. Zunächst orientierten wir uns jedoch in den verschiedenen Webportalen. Das ZIdentity-Portal bildet den zentralen Einstiegspunkt für Identitäts- und Berechtigungsmanagement: Es übernimmt Single Sign-on für alle Zscaler- Portale und verwaltet Entitlements – also Berechtigungen, die festlegen, wer in welcher Rolle welche Zscaler-Dienste nutzen darf. Die eigentliche Konfiguration der Sicherheitsrichtlinien, Infrastrukturkomponenten und Zugriffsregeln erfolgt dagegen im Experience Center, das als übergreifende Administrationsoberfläche für die gesamte Plattform fungiert.

Zscaler betont, dass ZIdentity bestehende Identity Provider (IdP) nicht ersetzen, sondern integrieren soll. Im ZIdentity-Portal lassen sich unter "Integration / External Identities" externe IdP konfigurieren; ZIdentity unterstützt dabei auch das automatische Provisionieren von Benutzern und Gruppen per System for Cross-Domain Identity Management (SCIM). Neben Okta bindet Zscaler Microsoft Active Directory Federation Services (ADFS), Entra ID, Google Workspace, Broadcom Symantec SiteMinder und OneLogin an, ebenso jeden grundsätzlich SAML-fähigen IdP.

Historisch gewachsen, bietet das ZIdentity-Portal auf seiner Startseite neben dem Identitätsmanagement über 16 weitere Kacheln Zugriff auf die verschiedenen Verwaltungsoberflächen – darunter separate Portale für ZIA, ZPA, Zero Trust Branch, Zscaler Client Connector, Zscaler Cellular Access sowie Zscaler Cloud and Branch Connector, der die Anbindung von Cloud-Workloads und Zweigstellen an den ZTE übernimmt und sich damit funktional vom Hardware-basierten Zero Trust Branch unterscheidet. Jedes dieser Portale verfügt über eine eigene Benutzeroberfläche mit separatem Menü, was die Übersicht für Administratoren spürbar erschwert.

Experience Center konsolidiert Verwaltung

Demgegenüber erwies sich das neue Experience Center für uns als wesentlicher Fortschritt in der Administration. Es konsolidiert die bislang verteilten Management-Portale in einer einzigen Oberfläche und soll die älteren Konsolen perspektivisch vollständig ablösen. Die klassische ZPA-Konsole zeigte bereits den Hinweis, dass neue Funktionen und Updates ab März 2026 ausschließlich im Experience Center verfügbar sein werden und die bisherige Konsole im September 2026 endgültig abgeschaltet wird.

Das Center begrüßte uns mit einer geführten Tour, die die wichtigsten Bereiche der Oberfläche und Navigation kurz vorstellte. Eine horizontale Menüleiste am oberen Seitenrand erschließt die Hauptkategorien Analytik, Administration, Richtlinien, Infrastruktur und Logs, wobei jede Kategorie über umfangreiche Untermenüs verfügt. Über ein Lupensymbol steht eine integrierte Suche bereit, mit der sich Konfigurationselemente und Einstellungen schnell auffinden lassen. Das Hilfesymbol blendet kontextbezogen die jeweils passenden Abschnitte der Produktdokumentation ein.

Die Onlinedokumentation führt in klar nachvollziehbaren Schritten durch die grundlegende Konfiguration von ZPA. Den Anfang machten wir unter "Infrastructure / Private Access / Component / Infrastructure Certificates" mit einem mandantenspezifischen Enrollment-Zertifikat, das seinerseits dazu dient, Zertifikate für alle Instanzen von App Connector, Private Service Edge, Private Cloud Controller – der internen Steuerungskomponente für private ZPA-Deployments – und Client Connector auszustellen. Anschließend installierten wir den Client Connector auf unseren Endpunkten, die unter "Infrastructure / Connectors / Client / Enrolled Devices" in der Übersicht erschienen. Dort ließen sich im Bereich "Platform Settings" grundlegende Richtlinien pro Betriebssystem festlegen – etwa clientseitige Einstellungen für Proxyserver und Firewall.

Per App Connector zur Anwendung

Im nächsten Schritt legten wir unter "Infrastructure / Private Access / Component / App Connectors" zunächst eine erste Gruppe sowie einen App-Connector-Key an. Eine Gruppe fasst mehrere Konnektoren geografisch oder logisch zusammen. Ein Key erlaubt für eine vorab konfigurierbare Anzahl an Verwendungen das Provisionieren eines oder mehrerer Konnektoren und eignet sich damit für geplante, wiederholbare Deployments. Für spontane oder zeitlich begrenzte Provisionierungen setzt Zscaler alternativ auf OAuth-2.0-Enrollment-Token, die jeweils 60 Minuten gültig sind und danach automatisch verfallen.

So gerüstet installierten wir App-Connector-Instanzen als Docker-Container on-premises ebenso wie aus Marketplace- Images in AWS und Azure. Die Konnektoren erschienen daraufhin im Experience Center als verbunden (Bild 1). Damit hatten wir jedoch lediglich die Grundlage geschaffen, um Anwendungen an den Standorten der Konnektoren zu erreichen. Die Anwendungen selbst sowie die Bedingungen, unter denen Clients darauf zugreifen dürfen, definierten wir anschließend unter "Policies / Private Applications" über App-Segmente und Zugriffsrichtlinien.

Pro Anwendung standen drei Zugriffsmethoden zur Wahl: Client Connector, browserbasierter Zugriff und Privileged Remote Access. Beim Zugriff per Client Connector ließen sich TCP- sowie UDP-Ports und Portbereiche zwischen Client und Ziel abbilden. Alternativ konfigurierten wir den clientlosen Browserzugriff – auf Wunsch isoliert im Zero-Trust-Browser – oder den privilegierten, ebenfalls isolierten Zugriff via SSH, RDP oder VNC.

Den Weg vom Benutzer und Client zur Anwendung ebneten schließlich die Zugriffsrichtlinien, die Zscaler nach dem Vorbild von Firewallregeln mit aufsteigenden Nummern und abnehmender Priorität sortiert. Optional ließen sich zunächst Regeln definieren, die Zugriffe anhand bestimmter Clienteigenschaften und -zustände ablehnen oder per Conditional Access auf bestimmte Clients oder Standorte beschränken. Im einfachsten Fall verknüpft eine Regel ein oder mehrere App-Segmente mit Benutzern oder Gruppen, die wir anhand von SAML- oder SCIM-Attributen aus dem IdP identifizierten.

Clientloser Zugriff schnell etabliert

Aus der Perspektive eines Endanwenders gibt sich der Zugriff per Client Connector unspektakulär. Nach der Anmeldung am Client Connector verriet lediglich das Icon im System-Tray, dass Zscaler im Hintergrund aktiv war. Der transparente Zugriff auf unsere Anwendungen funktionierte ansonsten so, wie es Nutzer von herkömmlichen VPN-Clients gewohnt sind.

Auch der clientlose Zugriff erschloss sich aus Benutzersicht intuitiv. Im separaten Portal für den privilegierten Zugriff konnten wir unter "My Web Applications" je nach Richtlinie entweder unmittelbar auf freigegebene Anwendungen zugreifen oder über den Zero-Trust-Browser, der als Browser im Browser läuft. Dateien ließen sich in diesem Fall nur mittelbar über den Bereich "My Files" im Portal austauschen.

Derselbe Bereich diente auch dem Datenaustausch mit den privilegierten Sitzungen, die wir unter "My Consoles" vorfanden. Dort starteten wir SSH-, RDP- und VNC-Sitzungen, die sich vollständig im Browser fernbedienen ließen (Bild 2). Neben dauerhaften Zugängen unterstützt Zscaler hier auch befristete Zugänge mit Genehmigungsprozessen: Benutzer beantragen dabei im Portal unter "My Approvals" den Zugriff für ein bestimmtes Zeitfenster.

Der Privileged Remote Access zeichnet den Sitzungsverlauf optional als Video auf, um etwa Aktionen externer Mitarbeiter nachvollziehbar zu dokumentieren. Während einer Remotesitzung ließen sich weitere Benutzer einladen, um gemeinsam an der entfernten Konsole zu arbeiten. Darüber hinaus standen eine Bildschirmtastatur, Dateiübertragung sowie ein bidirektionales Durchreichen der Zwischenablage zur Verfügung.

Fazit

Mit dem Zero Trust Exchange bietet Zscaler eine umfassende, cloudnative Plattform, die den Paradigmenwechsel vom klassischen Perimeter zu ZTNA konsequent umsetzt. ZPA ersetzt klassische VPN-Verbindungen durch einen Ansatz, der Nutzer isoliert mit Anwendungen verbindet, ohne ihnen unmittelbaren Netzwerkzugang zu gewähren. Der App Connector als schlanke Komponente vereinfacht die Anbindung privater Anwendungen in beliebigen Umgebungen, während der Client Connector auf den Endgeräten standortunabhängig durchgängigen Schutz gewährleistet. Dass keine eingehenden Verbindungen erforderlich sind und sämtliche Kommunikation über ausgehende TLS-Tunnel läuft, vereinfacht die Firewallkonfiguration erheblich und reduziert die Angriffsfläche auf ein Minimum.

Produkt	Cloudbasierte Sicherheitsplattform für Zero-Trust-Schutz von Nutzern, Geräten und Standorten.
Hersteller	Zscaler https://www.zscaler.com
Preis	Zscaler setzt auf ein Abonnement-basiertes Preismodell pro Benutzer, mit dem Unternehmen die gewünschten Security- sowie Zero-Trust-Funktionen zusammenstellen und flexibel skalieren können. In der Essentials-Kategorie beginnen die Kosten bei 8 bis 10 US-Dollar pro Benutzer und Monat, je nach gewähltem Bundle; individuelle Funktionsumfänge auf Anfrage.
Systemanforderungen	Client Connector: Windows 10/11 (x64 und ARM64); Apple macOS 14 Sonoma / 15 Sequoia / 26 Tahoe (Intel und Apple M); Linux-Distributionen RHEL, CentOS, Fedora, Ubuntu, Debian, openSUSE, Arch Linux, Maya OS; Google Android Subsystem unter ChromeOS; Thin Clients mit eLux und IGEL OS; Apple iOS 17/18/26; Google Android 10 bis 16; VDI-Umgebungen Microsoft Windows 365 Cloud PC und Azure Virtual Desktop, AWS Workspaces, Citrix Virtual Apps and Desktops, Omnissa Horizon and Horizon Cloud. App Connector: VMware (STIG OVA), Nutanix AHV (STIG OVA), Amazon Web Services/AWS (Marketplace STIG Image), Google Cloud Platform/GCP (Marketplace STIG Image), Microsoft Azure (Marketplace STIG Image), Docker (Docker Hub), Kubernetes, OpenShift (Helm Chart), Linux/RHEL (RPM-Pakete für RHEL 8-basiert und RHEL 9-basiert).
Technische Daten	https://www.it-administrator.de/downloads/datenblaetter

Produkt	Cloudbasierte Sicherheitsplattform für Zero-Trust-Schutz von Nutzern, Geräten und Standorten.
Hersteller	Zscaler https://www.zscaler.com
Preis	Zscaler setzt auf ein Abonnement-basiertes Preismodell pro Benutzer, mit dem Unternehmen die gewünschten Security- sowie Zero-Trust-Funktionen zusammenstellen und flexibel skalieren können. In der Essentials-Kategorie beginnen die Kosten bei 8 bis 10 US-Dollar pro Benutzer und Monat, je nach gewähltem Bundle; individuelle Funktionsumfänge auf Anfrage.
Systemanforderungen	Client Connector: Windows 10/11 (x64 und ARM64); Apple macOS 14 Sonoma / 15 Sequoia / 26 Tahoe (Intel und Apple M); Linux-Distributionen RHEL, CentOS, Fedora, Ubuntu, Debian, openSUSE, Arch Linux, Maya OS; Google Android Subsystem unter ChromeOS; Thin Clients mit eLux und IGEL OS; Apple iOS 17/18/26; Google Android 10 bis 16; VDI-Umgebungen Microsoft Windows 365 Cloud PC und Azure Virtual Desktop, AWS Workspaces, Citrix Virtual Apps and Desktops, Omnissa Horizon and Horizon Cloud. App Connector: VMware (STIG OVA), Nutanix AHV (STIG OVA), Amazon Web Services/AWS (Marketplace STIG Image), Google Cloud Platform/GCP (Marketplace STIG Image), Microsoft Azure (Marketplace STIG Image), Docker (Docker Hub), Kubernetes, OpenShift (Helm Chart), Linux/RHEL (RPM-Pakete für RHEL 8-basiert und RHEL 9-basiert).
Technische Daten	https://www.it-administrator.de/downloads/datenblaetter

Umsetzung ZTNA	10
Management-Konsole	7
Agent auf dem Endgerät	7
Anwendungs-Connector	8
Clientloser Zugriff	7
Die Details unserer Testmethodik finden Sie unter https://www.it-administrator.de/testmethodik